Cyberkriminella har i allt högre grad använt den "mänskliga faktorn", även kallad social engineering, med stor effekt när de utför en cyberattack. Flera undersökningar visar att detta inte bara är hörsägen och att social ingenjörskonst är en framgångsrik teknik för cyberattacker: uppgifter från PurpleSecs säkerhetsforskning visar till exempel att 98 procent av cyberattackerna bygger på social ingenjörskonst.
Cyberbrottslingar har gjort våra anställda till frontlinjen för cyberattacker: de riktar sig till dem med skadliga e-postmeddelanden, lurar dem med falska telefonsamtal och manipulerar generellt sett deras beteende.
Genom att utbilda våra anställda i taktik och teknik för social ingenjörskonst ger företaget dem möjlighet att slå tillbaka mot bedragare. Men vissa bästa metoder måste följas för att säkerställa ett framgångsrikt program för utbildning i social ingenjörskonst.
Här är MetaCompliances guide för att utbilda anställda om social ingenjörskonst:
Vad är social ingenjörskonst?
Social ingenjörskonst är i samband med cybersäkerhet en teknik eller en serie tekniker som används för att manipulera en människa så att den gör något som är till nytta för en cyberkriminell.
Det finns många knep i social ingenjörsyrket, och dessa kan förändras med tiden när cyberkriminella optimerar sin taktik. Resultatet av social ingenjörskonst är att lura anställda (eller allmänheten) att lämna ut känsliga uppgifter, t.ex. inloggningsuppgifter, eller överföra pengar till en bedragare, eller att göra ett misstag, t.ex. att klicka på en phishing-länk.
Social ingenjörskonst är vanligtvis en stegvis teknik som innebär:
- Övervakning: Informationsinsamling är en viktig del av en socialt konstruerad cyberattack. Personlig och affärsmässig information om de anställda samlas in. Målen är vanligtvis de som arbetar inom områden som leverantörsreskontra eller IT-administration.
- Skötsel av måltavlan: Den information som samlas in under övervakningen används för att bygga upp relationer med den anställde som är målet. Vissa bedragare ringer till och med upp den anställde för att skapa en vänskaplig relation med honom eller henne, för att förbereda honom eller henne för exploatering.
- Utnyttja märket: Detta är en viktig del av den socialt konstruerade cyberattacken, som bygger på den relation som utvecklats med hjälp av den insamlade informationen. Förhållandet utnyttjas för att genomföra attacken, t.ex. genom att man tar emot användarnamn och lösenord via telefon eller öppnar en infekterad e-postbilaga.
- Att slutföra hackningen: Exploateringsfasen lägger grunden för att genomföra den centrala delen av cyberattacken. En erfaren social ingenjör kommer att kunna gå ifrån cyberattacken i vetskap om att det kommer att ta tid innan den anställde eller företaget inser att de har blivit utnyttjade.
Exempel på social ingenjörskonst
Social ingenjörskonst förekommer i många olika former, både lågteknologiska och högteknologiska och ofta hybrider av båda. Några exempel visar vilka typer av sätt som våra anställda utsätts för social ingenjörskonst:
Massiv social ingenjörsattack mot Google och Facebook
Business Email Compromise (BEC) är en bluff där man använder social ingenjörskonst för att lura en anställd att skicka en företagsbetalning till bedragaren, ofta med stora summor pengar.
Under 2019 stal en massiv BEC-bedrägeri omkring 100 miljoner dollar från företag, däribland Google och Facebook. Bedragarna skapade ett falskt företag med ett namn som liknade ett legitimt företag som målföretagen handlade med. Därifrån skickade de ut spear-phishing-e-post till specifika anställda och agenter hos offerföretagen.
För att få kunskap om vilka anställda de ska rikta in sig på använder bedragare vanligtvis övervakningsteknik för att förstå hur de bäst kan manipulera den anställdes beteende.
Microsoft 365-bedrägeri
Varumärken som Microsoft 365 används ofta för att social ingenjörskonst och lura anställda.
En nyligen genomförd attack som involverade Microsoft 365 skapades för att stjäla anställdas inloggningsuppgifter. I denna cyberattack använde bedragarna tekniker för att kringgå e-postportaler, så att nätfiskemejlen kunde hamna i den anställdes inkorg och se ut som ett till synes legitimt Microsoft 365-mejl. I phishing-e-postmeddelandet användes en ämnesrad om en "prisrevidering" och det innehöll en Excel-kalkylbladfil som bilaga. Tricket var att "kalkylbladet" i själva verket var en förklädd .html-fil. Filen omdirigerade den som öppnade den till en webbplats som sedan krävde att de skulle ange sina inloggningsuppgifter till Microsoft 365.
5 bästa metoder för att lära anställda om social ingenjörskonst
När du är redo att utbilda dina anställda om social ingenjörskonst är det värt att använda dessa fem bästa metoder:
Bästa praxis ett: Förstå den komplexa webben av social ingenjörskonst
Bygga upp en kunskapsbas om taktik och teknik för social ingenjörskonst. Detta kommer att ligga till grund för ditt utbildningspaket. Social ingenjörskonst bygger på mänsklig psykologi, så att förstå hur bedragare manipulerar mänskligt beteende är grundläggande för att förhindra en framgångsrik cyberattack baserad på denna metod.
Att utbilda anställda i att känna igen ett försök till social ingenjörskonst är därför mer komplicerat än att utbilda dem i phishing, men phishing-simuleringar bör ingå i ett bredare utbildningsprogram för social ingenjörskonst.
Ett omfattande program för utbildning i social ingenjörskonst bör också omfatta hur dessa bedrägerier fungerar och vilka typer av beteenden eller situationer de manipulerar, t.ex. förtroende, brådska, relationer osv.
Bästa praxis två: utbildning i säkerhetsmedvetenhet +SEE
Utbildningspaket för allmän säkerhetsmedvetenhet bör alltid innehålla utbildning om social ingenjörskonst. Säkerhetshygien och allmän medvetenhet om nätfiske är alla delar av att minska ett framgångsrikt försök till social ingenjörskonst. Lägg till utbildning om social ingenjörskonst (SEE) i ditt allmänna utbildningsprogram för säkerhetsmedvetenhet för att göra social ingenjörskonst synlig för alla.
Bästa praxis tre: Smart lärande
Människor lär sig bäst när de undervisas med interaktiva tekniker. Forskningen har identifierat vissa kriterier för effektiv inlärning:
- Gör lektionerna korta men informativa: Bygg vidare på dem och upprepa dem regelbundet för att få optimal inlärning.
- Genom att växla mellan olika idéer när du lär dig skapar du naturliga pauser mellan sessionerna och hjälper till att förstärka idéerna. Se till att du också pekar på kopplingar mellan olika områden inom cybersäkerhet och social ingenjörstaktik för att hjälpa medarbetarna att förstå komplexiteten i dessa typer av attacker.
- Använd "konkreta exempel" för att få lärandet att fastna i medarbetarens medvetande.
Bästa praxis fyra: Skölj och upprepa
Social ingenjörskonst, liksom andra angreppsmetoder för cybersäkerhet, optimeras kontinuerligt av cyberkriminella. Se till att du genomför regelbundna utbildningstillfällen om social ingenjörskonst som en del av ditt bredare utbildningsprogram för säkerhetsmedvetenhet. Automatisera din kampanj för säkerhetsmedvetenhet för att förbättra och optimera utbildningen.
Bästa praxis fem: Gör din arbetsplats till en nolltoleranszon för social ingenjörskonst.
Genom att bygga upp personalens förtroende för att upptäcka och förhindra en socialt konstruerad cyberattack kommer din organisation att bygga upp en kultur av säkerhetsmedvetenhet.
Denna kultur kommer att stärka din personal mot cyberattacker, även om den sociala ingenjörskonsten är komplex och spelar på de anställdas rädsla, beteende, brådska och relationer. Denna kultur kommer också att omfatta deras privatliv, vilket gör deras allmänna säkerhet bättre och bidrar till att minska riskerna i hemarbetsmiljöer.
Vid cyberattacker som använder sig av social ingenjörskonst är det människan som är sårbarheten i säkerheten. Genom att ge din personal kunskap om hur man upptäcker försök till social ingenjörskonst stärker du ditt företag och dina anställda.
